Leagan TLS neamhcheadaithe AnyConnect ar Linux: sainigh scóip an cheartúcháin ar dtús

Tagann an earráid seo roimh an leid faire, agus sin an chuid úsáideach: níl aon rud fíordheimhnithe fós, mar sin ní hiad na dintiúirí an fhadhb. Ar Linux is féidir leis an dialóg chéanna AnyConnect teacht ó sheanleagan prótacail, ó ghrúpa malartaithe eochrach 1024 giotán nó ó shraith sifir a dhiúltaíonn polasaí cripte an chórais. Tá sé glanta agam ar thrí bhealach éagsúla ar thrí mheaisín, agus is é an raon tionchair, ní an chlisteacht, a scarann na ceartúcháin sin. Tá gach ceann inargóinte san áit cheart agus ina dhroch-rogha réamhshocraithe gach áit eile.

Léigh an teachtaireacht sula dteagmhálaíonn tú leis an bpolasaí

Coinnigh an tsreang bheacht ón dialóg. Díríonn gearán leagain ar an gciseal prótacail, díríonn gearán teastais ar mhuinín nó ar ainmniú, agus díríonn logáil isteach teipthe ar na dintiúirí. Is féidir le geata a thairgeann TLS 1.0 le grúpa DHE 1024 giotán, AES-256-CBC agus síniú SHA-1 teastas iomlán bailí a bheith aige agus fós diúltú dó ag polasaí nua-aimseartha sula seoltar do dhintiúirí ar chor ar bith.

Déan iniúchadh ar an bpointe deiridh le OpenSSL an chórais, ag úsáid an fhíor-ainm óstaigh agus an phoirt a úsáideann an cliant.

Má theipeann ar openssl s_client -connect vpn.example.com:443 -servername vpn.example.com agus má n-éiríonn le -tls1 -cipher DEFAULT@SECLEVEL=0, insíonn sé sin go bhfuil an teorainn sa leagan agus i méid na heochrach le chéile. Má thuairiscíonn an chéad ordú eochair DH bheag seachas foláireamh prótacail, tá an leagan ceart agus níl ag teastáil ach an grúpa. Ná cuir eochair phríobháideach ná faire riamh san iniúchadh.

Rogha 1: an t-óstach ar fad a scaoileadh leis an bpolasaí cripte

Ar Fedora agus RHEL 8 agus 9, íslíonn update-crypto-policies --set LEGACY polasaí córais OpenSSL, agus deimhníonn update-crypto-policies --show cad atá gníomhach. De ghnáth cuireann sé sin an tollán ar ais, ach léitear an polasaí nuair a thosaíonn próiseas, mar sin atosaigh an cliant agus aon chúntóir a chruthaigh sé sula ndéanann tú ath-thástáil. Ceadaíonn sé freisin prótacail níos sine agus grúpaí níos laige do gach cliant TLS ar an meaisín, ón mbrabhsálaí sa chéad fhuinneog eile go dtí an bainisteoir pacáiste a nuashaíonn an t-eithne.

Is é an leithead sin an cuspóir iomlán agus an fhadhb iomlán. Baineann LEGACY leis an óstach ar fad, maireann sé agus is furasta dearmad a dhéanamh air, mar sin ba cheart dó a bheith ina chéim diagnóiseacha nó ina eisceacht dhoiciméadaithe ar thógáil bhainistithe, riamh ina staid scíthe ag stáisiún oibre. Chonaic mé ceann a d’fhan ar LEGACY ar feadh dhá bhliain toisc go raibh gá ag tairseach inmheánach amháin leis, agus ní raibh a fhios ag éinne cathain a thosaigh sé.

Níl aon aon-lasc ag Debian ná Ubuntu chuige seo. Is é an comhionannas ná eagarthóireacht ar /etc/ssl/openssl.cnf a shocraíonn MinProtocol níos ísle agus CipherString = DEFAULT@SECLEVEL=0 sa roinn réamhshocruithe córais. An raon céanna, comhad difriúil, rud beag níos éasca a chailleadh radharc le linn uasghrádaithe eisiúna.

Rogha 2: comhad cumraíochta amháin do chliant amháin

Coinníonn cumraíocht OpenSSL in aghaidh an phróisis an t-athrú laistigh de chrann próisis amháin, ach amháin má tá an comhad sreangaithe mar a bhfuil súil ag an leabharlann. Ní leor roinn ssl_conf a ainmniú: léann OpenSSL an eochair ardleibhéil openssl_conf, leanann sé go dtí roinn thionscnaimh agus ní shroicheann sé réamhshocruithe SSL go dtí sin.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

Cuir OPENSSL_CONF i dtreo an chomhaid sin agus seol an cliant VPN trí fhilleadh a onnmhairíonn é. Coinníonn gach rud eile ar an óstach an polasaí réamhshocraithe, agus sin an t-airí a bhfuil tábhacht leis nuair a thagann an cheist chomhlíonta. Deimhnigh go bhfuil an comhad i bhfeidhm i ndáiríre sula gcuitear an milleán ar an ngeata: ba cheart do OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 sifir TLS 1.0 a liostú, agus ciallaíonn toradh folamh go bhfuil an slabhra briste agus gur choinnigh an cliant réamhshocruithe an chórais go ciúin.

Tá an comhad íogair do leagain. Glacann OpenSSL 1.1.1 agus 3.x leis na hainmneacha roinne céanna, ach d’athraigh láimhseáil treoracha timpeall soláthraithe i 3.x, mar sin fíoraigh le log an chliaint agus le croitheadh láimhe tástála seachas glacadh leis gur léadh an comhad. Teipeann clóscríobh mícheart san ainm roinne go hoscailte, agus úsáideann an cliant réamhshocruithe an chórais go ciúin.

Is é an teorainn an clúdach. Déanann aon rud atá nasctha le GnuTLS nó NSS neamhaird de OPENSSL_CONF, agus mar an gcéanna aon phróiseas cúnta a sheolann an cliant gan an timpeallacht a oidhreacht. Seiceáil le ldd cén leabharlann TLS a bhfuil an dénártha nasctha léi i ndáiríre sula dtógfaidh tú an fhilleadh, mar is é an freagra a shocraíonn an bhfuil an rogha seo ann ar chor ar bith.

Rogha 3: VM nó coimeádán indiúscartha

Do chonraitheoir a bhuaileann sean-gheata amháin ar feadh coicíse, is teorainn níos glaine é VM tiomnaithe leis an bpolasaí scaoilte ná an stáisiún oibre. Stopann an tsean-dromchla agus an próifíl brabhsála laethúil ag roinnt polasaí eithne, agus is scriosadh é an diúscairt seachas fionnachtain iniúchta.

Is meaisín líonraithe fós é, mar sin cuir srian ar a rochtain agus coinnigh amach ó bhrabhsáil ghinearálta é. Is é an costas cothabhála íomhá eile le paisteáil, rud atá fíor ach teoranta agus infheicthe, murab ionann agus bratach LEGACY dearmadta ar ríomhaire glúine.

Cad a fhágann an chomparáid agat

Roghnaigh ar thrí cheist: cé a bhfuil an seana-phrótacal ag teastáil uaidh, cá fhad, agus cé a thabharfaidh faoi deara má mhaireann an eisceacht níos faide ná a chúis. Aip amháin, duine amháin, cúpla lá, díríonn siad ar an gcumraíocht in aghaidh an phróisis. Díríonn flít iomlán taobh thiar d’fhearas amháin ar an ngeata féin. Is cinneadh soláthair é aon rud a dteastaíonn polasaí LEGACY buan óstaigh uaidh, agus é gléasta in éide theicniúil.

Baineann an ceartúchán marthanach leis an bhfearas: TLS 1.2 nó níos nuaí, grúpa 2048 giotán ar a laghad, sifir AEAD agus teastas le síniú nua-aimseartha. Iarr an t-athrú sin ar úinéir an fhearais, ansin deimhnigh an leagan agus an tsifir idirbheartaíochta i log an chliaint. Scríobh an eisceacht síos leis an óstach, an geata, an prótacal idirbheartaíochta, an t-údaraitheoir agus dáta éaga, mar is í an nóta a choisceann ar shocrú sealadach éirí ina réamhshocrú.